क्यूमेल मेल सर्वर में दूर से शोषण योग्य भेद्यता

क्वालिस के सुरक्षा शोधकर्ता दिखाया है अवसर ऑपरेटिंग क्यूमेल मेल सर्वर में कमजोरियाँ, ज्ञात 2005 में (सीवीई-2005-1513), लेकिन अप्रकाशित रहा क्योंकि क्यूमेल के लेखक ने तर्क दिया कि एक कार्यशील शोषण बनाना अवास्तविक था जिसका उपयोग डिफ़ॉल्ट कॉन्फ़िगरेशन में सिस्टम पर हमला करने के लिए किया जा सकता था। क्वालिस एक ऐसा कारनामा तैयार करने में सक्षम था जो इस धारणा का खंडन करता है और एक विशेष रूप से डिज़ाइन किया गया संदेश भेजकर सर्वर पर रिमोट कोड निष्पादन शुरू करने की अनुमति देता है।

समस्या stralloc_readyplus() फ़ंक्शन में पूर्णांक अतिप्रवाह के कारण होती है, जो एक बहुत बड़े संदेश को संसाधित करते समय हो सकती है। ऑपरेशन के लिए 64GB से अधिक वर्चुअल मेमोरी वाले 4-बिट सिस्टम की आवश्यकता होती है। जब 2005 में भेद्यता का मूल रूप से विश्लेषण किया गया था, तो डैनियल जे. बर्नस्टीन ने तर्क दिया कि कोड में यह धारणा कि आवंटित सरणी का आकार हमेशा 32-बिट मान के भीतर होता है, इस तथ्य पर आधारित है कि कोई भी प्रत्येक प्रक्रिया को गीगाबाइट मेमोरी प्रदान नहीं करता है। पिछले 15 वर्षों में, सर्वर पर 64-बिट सिस्टम ने 32-बिट सिस्टम को प्रतिस्थापित कर दिया है, और आपूर्ति की गई मेमोरी और नेटवर्क बैंडविड्थ की मात्रा में नाटकीय रूप से वृद्धि हुई है।

क्यूमेल पैकेज अनुरक्षकों ने बर्नस्टीन के नोट को ध्यान में रखा और क्यूमेल-एसएमटीपीडी प्रक्रिया शुरू करते समय उपलब्ध मेमोरी को सीमित कर दिया (उदाहरण के लिए, डेबियन 10 में सीमा 7एमबी पर सेट है)। लेकिन क्वालिस के इंजीनियरों ने पाया कि यह पर्याप्त नहीं है और, qmail-smtpd के अलावा, qmail-स्थानीय प्रक्रिया पर एक दूरस्थ हमला किया जा सकता है, जो सभी परीक्षण किए गए पैकेजों में अप्रतिबंधित रहा। सबूत के तौर पर, एक शोषण प्रोटोटाइप तैयार किया गया था जो डिफ़ॉल्ट कॉन्फ़िगरेशन में क्यूमेल के साथ डेबियन पैकेज पर हमला करने के लिए उपयुक्त था।
किसी हमले के दौरान रिमोट कोड निष्पादन को व्यवस्थित करने के लिए, सर्वर को 4GB खाली डिस्क स्थान और 8GB RAM की आवश्यकता होती है।
शोषण आपको सिस्टम में किसी भी उपयोगकर्ता के अधिकारों के साथ किसी भी शेल कमांड को चलाने की अनुमति देता है, रूट और सिस्टम उपयोगकर्ताओं को छोड़कर जिनके पास "/होम" निर्देशिका में अपनी उपनिर्देशिका नहीं है (क्यूमेल-स्थानीय प्रक्रिया अधिकारों के साथ शुरू की गई है) स्थानीय उपयोगकर्ता की, जिसे डिलीवरी की गई है)।

हमला किया गया है
एक बहुत बड़ा मेल संदेश भेजकर, जिसमें कई हेडर लाइनें शामिल हैं, जिनकी माप लगभग 4GB और 576MB है। स्थानीय उपयोगकर्ता को संदेश देने का प्रयास करते समय क्यूमेल-स्थानीय में ऐसी स्ट्रिंग को संसाधित करने से पूर्णांक अतिप्रवाह होता है। एक पूर्णांक अतिप्रवाह तब डेटा की प्रतिलिपि बनाते समय बफर अतिप्रवाह की ओर ले जाता है और libc कोड के साथ स्मृति पृष्ठों को अधिलेखित करने की संभावना होती है। प्रेषित डेटा के लेआउट में हेरफेर करके, "ओपन ()" फ़ंक्शन के पते को फिर से लिखना, इसे "सिस्टम ()" फ़ंक्शन के पते से बदलना भी संभव है।

इसके बाद, qmail-local में qmesearch() को कॉल करने की प्रक्रिया में, फ़ाइल ".qmail-extension" को open() फ़ंक्शन के माध्यम से खोला जाता है, जिससे फ़ंक्शन का वास्तविक निष्पादन होता है।
सिस्टम('क्यूमेल-एक्सटेंशन')। लेकिन चूंकि फ़ाइल का "एक्सटेंशन" भाग प्राप्तकर्ता के पते के आधार पर उत्पन्न होता है (उदाहरण के लिए, "localuser-extension@localdomain"), हमलावर उपयोगकर्ता को "localuser-;command" निर्दिष्ट करके कमांड को चलाने के लिए भेजने की व्यवस्था कर सकते हैं ;@localdomain” संदेश के प्राप्तकर्ता के रूप में।

कोड विश्लेषण के दौरान, अतिरिक्त क्यूमेल-सत्यापित पैच में दो कमजोरियों की भी पहचान की गई, जो डेबियन के पैकेज का हिस्सा है। पहली भेद्यता (CVE-2020-3811) आपको ईमेल पता सत्यापन को बायपास करने की अनुमति देता है, और दूसरा (CVE-2020-3812) स्थानीय जानकारी के रिसाव की ओर ले जाता है। विशेष रूप से, पहली भेद्यता आपको कमांड भेजने के लिए शोषण में उपयोग किए गए पते की शुद्धता के सत्यापन को बायपास करने की अनुमति देती है (सत्यापन डोमेन के बिना पते के लिए काम नहीं करता है, जैसे "localuser-;कमांड;")। दूसरी भेद्यता का उपयोग सिस्टम पर फ़ाइलों और निर्देशिकाओं की उपस्थिति की जांच करने के लिए किया जा सकता है, जिसमें स्थानीय हैंडलर को सीधे कॉल के माध्यम से केवल रूट (क्यूमेल-सत्यापन रूट अधिकारों के साथ चलता है) तक पहुंच योग्य भी शामिल है।

समस्या को हल करने के लिए, बर्नस्टीन ने उपलब्ध मेमोरी ("सॉफ्टलिमिट -एम12345678") पर कुल सीमा के साथ क्यूमेल प्रक्रियाओं को चलाने की सिफारिश की, जिस स्थिति में समस्या अवरुद्ध हो जाती है। सुरक्षा की एक वैकल्पिक विधि के रूप में, "नियंत्रण/डेटाबाइट्स" फ़ाइल के माध्यम से संसाधित संदेश के अधिकतम आकार को सीमित करने का भी उल्लेख किया गया है (डिफ़ॉल्ट रूप से यह डिफ़ॉल्ट सेटिंग्स के साथ नहीं बनाया गया है क्यूमेल असुरक्षित रहता है)। इसके अतिरिक्त, "नियंत्रण/डेटाबाइट्स" सिस्टम उपयोगकर्ताओं के स्थानीय हमलों से रक्षा नहीं करता है, क्योंकि सीमा को केवल qmail-smtpd द्वारा ध्यान में रखा जाता है।

समस्या पैकेज को प्रभावित करती है नेटक्यूमेल, डेबियन रिपॉजिटरी में शामिल है। इस पैकेज के लिए पैच का एक सेट तैयार किया गया है, जो 2005 की पुरानी कमजोरियों (alloc() फ़ंक्शन कोड में हार्ड मेमोरी सीमाएं जोड़कर) और qmail-verify में नई समस्याओं को दूर करता है। अलग से तैयार क्यूमेल-सत्यापित पैच का अद्यतन संस्करण। डेवलपर्स शाखाओं notqmail पुरानी समस्याओं को रोकने के लिए अपने स्वयं के पैच तैयार किए, और कोड में सभी संभावित पूर्णांक ओवरफ्लो को खत्म करने के लिए भी काम करना शुरू कर दिया।

स्रोत: opennet.ru